Conformité

Le carrefour de conformité regroupe les obligations de la Loi 25 en pages distinctes, chacune avec sa propre route. Chaque page porte un avis clair : il s'agit d'un guide et non d'un avis juridique. Agreely vous outille pour tenir et démontrer votre conformité; il ne se substitue pas au jugement d'un conseiller juridique.

Dans le menu, le carrefour se trouve sous Conformité, en quatre groupes :

• Gouvernance : Responsable, Conservation, Mesures de sécurité, Anonymisation, Mineurs, ÉFVP de projet;
• Registres : Incidents, ÉFVP hors Québec, Transferts hors Québec, Communications sans consentement, Mandataires et fournisseurs, Droits, Obligations de destruction, et Utilisations secondaires (entreprise privée) ou Registre 67.3 (organisme public);
• Reddition de comptes : Accès d'audit, Journal des attestations, Journal des accès, Intégrité;
• Références : Guide de conformité, Recettes de conformité (entreprise privée), Textes officiels, Glossaire.

Les Politiques et les Diffusions se trouvent sous Information et consentement, à côté du Catalogue et des Formulaires.

#Responsable de la protection des renseignements personnels (P-39.1, art. 3.1; A-2.1, art. 8)

Déclarez la personne responsable de la protection des renseignements personnels : son nom, son titre, et au moins un moyen de la joindre, soit un courriel, soit un numéro de téléphone. Dans une entreprise privée, la personne ayant la plus haute autorité exerce cette fonction et peut la déléguer par écrit à toute personne; le titre et les coordonnées du responsable sont publiés sur le site Internet de l'entreprise (P-39.1, art. 3.1). Dans un organisme public, la personne ayant la plus haute autorité exerce la fonction de responsable de l'accès aux documents et celle de responsable de la protection des renseignements personnels; elle peut les déléguer par écrit à un membre de l'organisme, de son conseil d'administration ou de son personnel de direction, qui doit pouvoir les exercer de manière autonome, et l'organisme avise par écrit la Commission d'accès à l'information du titre, des coordonnées et de la date d'entrée en fonction de ce responsable (A-2.1, art. 8).

#Politiques

Publiez et versionnez vos politiques :

• la politique de gouvernance des renseignements personnels (P-39.1, art. 3.2, approuvée par le responsable; A-2.1, art. 63.3, des règles approuvées par le comité sur l'accès à l'information et la protection des renseignements personnels);
• la politique de confidentialité (P-39.1, art. 8.2; A-2.1, art. 63.4).

Chaque politique porte un titre et un corps bilingues. À la publication, une politique est versionnée et immuable : une version publiée ne se modifie plus, on en publie une nouvelle. L'historique reste ainsi une trace fidèle de ce qui était en vigueur à chaque date.

La page Diffusions consigne les moyens par lesquels vous diffusez chaque politique (votre site Internet, par exemple).

#Les registres statutaires

Chaque registre a sa propre page, sa fiche par entrée et son export. Les écritures sont réservées au propriétaire et à l'administrateur, et une écriture porte la signature de la personne qui l'a faite : dans un registre, l'écriture est la déclaration.

Registre	Ce qu'il tient
Conservation et destruction	Vos règles de conservation : un libellé, une période en mois, un déclencheur (par défaut l'atteinte de la fin visée), une action (par défaut la destruction) et des notes, avec le plancher d'un an sur les données ayant servi à une décision.
Mesures de sécurité	Les mesures que vous avez mises en place, dans vos mots : Agreely ne préremplit rien ici, parce que l'obligation porte sur vos propres systèmes.
Anonymisation	Les processus d'anonymisation et leur réévaluation.
Communications hors Québec et ÉFVP	Les communications de renseignements personnels hors Québec et les évaluations des facteurs relatifs à la vie privée qui les accompagnent : un titre, le degré de sensibilité, la fin, les mesures de protection, le régime juridique applicable au lieu de destination et une conclusion.
ÉFVP de projet	L'évaluation d'un projet d'acquisition, de développement ou de refonte d'un système. Une consultation tardive est signalée, jamais bloquée.
Mandataires et fournisseurs de services	Les tiers à qui vous confiez des renseignements personnels, et l'entente qui encadre chacun.
Communications sans consentement	Les communications de renseignements personnels faites sans le consentement de la personne, lorsque la loi exige de les inscrire. Agreely documente l'inscription; il ne se prononce pas sur la légalité de la communication.
Utilisations secondaires (entreprise privée)	Les utilisations sans consentement, avec le motif invoqué.
Registre 67.3 (organisme public)	Le registre des communications et utilisations sans consentement, accessible sur demande (A-2.1, art. 67.3 et 67.4).
Incidents de confidentialité	La date de découverte et la date de survenance, une description, les catégories en cause, le nombre de personnes touchées, l'évaluation du risque avec son indicateur de risque de préjudice sérieux, les mesures prises, l'avis à la Commission d'accès à l'information, l'avis aux personnes concernées et le statut. Un incident s'archive, il ne se supprime pas.
Droits	Le flux de travail complet, avec l'horloge de la loi qui régit l'organisation (30 jours selon P-39.1, art. 32; 20 jours, prolongeables d'au plus 10, selon A-2.1, art. 98) et un compteur des demandes en retard.
Obligations de destruction	L'obligation concrète née d'un effacement, et votre attestation de disposition.
Mineurs	Le traitement des renseignements d'un mineur et votre attestation de processus.

#Registre des incidents de confidentialité (P-39.1, art. 3.5 à 3.8; A-2.1, art. 63.8 à 63.11)

Tenez le registre des incidents de confidentialité. Chaque entrée consigne :

• la date à laquelle l'incident a été découvert et la date à laquelle il est survenu;
• une description;
• les catégories de renseignements en cause;
• le nombre de personnes touchées;
• une évaluation du risque, avec un indicateur de risque de préjudice sérieux;
• les mesures prises;
• si la Commission d'accès à l'information a été avisée, et si les personnes concernées l'ont été;
• le statut de l'incident.

Le registre soutient l'obligation de tenir et, le cas échéant, de démontrer le suivi des incidents de confidentialité.

#Demandes de droits

Traitez les demandes des personnes concernées dans un flux de travail : reçue → en cours → répondue ou refusée. Chaque demande porte l'horloge de réponse de la loi qui régit l'organisation (30 jours selon P-39.1, art. 32; 20 jours, prolongeables d'au plus 10, selon A-2.1, art. 98), et un compteur des demandes en retard met en évidence celles dont le délai est dépassé.

Les types de demandes couverts sont :

• l'accès (P-39.1, art. 27; A-2.1, art. 83 et 84);
• la rectification (P-39.1, art. 28; A-2.1, art. 89);
• l'accès en format structuré, la communication d'un renseignement informatisé dans un format technologique structuré et couramment utilisé (P-39.1, art. 27 al. 3; A-2.1, art. 84 al. 3);
• la décision automatisée : les renseignements sur une décision fondée exclusivement sur un traitement automatisé, et les observations de la personne (P-39.1, art. 12.1; A-2.1, art. 65.2);
• la destruction d'un renseignement dont la conservation n'est pas autorisée par la loi (P-39.1, art. 28; A-2.1, art. 89);
• la diffusion : cessation, désindexation ou réindexation (P-39.1, art. 28.1), pour une entreprise privée seulement : A-2.1 ne prévoit ni cessation de diffusion ni désindexation, et ce type de demande n'est pas offert à un organisme public.

Les demandes et leur suivi s'exportent en JSON ou en CSV.

#Obligations de destruction (P-39.1, art. 23; A-2.1, art. 73)

Lorsqu'un citoyen exerce son effacement, votre entreprise reçoit une obligation de destruction concrète : détruire ou anonymiser les données sous-jacentes que vous détenez encore dans vos propres systèmes. Vous attestez une disposition parmi :

• détruit;
• anonymisé;
• conservé par délai légal (P-39.1, art. 23 : un délai de conservation prévu par une loi; A-2.1, art. 73 : la Loi sur les archives ou le Code des professions).

Vous joignez une note à l'attestation.

La demande de la personne de supprimer un renseignement dont la conservation n'est pas autorisée par la loi relève de P-39.1, art. 28 (A-2.1, art. 89); l'obligation de détruire ou d'anonymiser lorsque les fins sont accomplies relève de P-39.1, art. 23 (A-2.1, art. 73).

#Ce qui reste, et ce qui se supprime

Une même règle traverse tout le carrefour : une déclaration que vous avez faite reste; un document de travail que vous avez produit vous appartient.

Restent au dossier, définitivement :

• vos attestations (mesures de sécurité, calendrier de conservation, processus applicable aux mineurs, révision juridique), avec la date à laquelle chacune a cessé de couvrir quoi que ce soit;
• votre attestation de disposition sur une obligation de destruction;
• vos exécutions de destruction consignées au journal de conservation;
• toute politique publiée, et l'incident consigné au registre, qui s'archive;
• l'attestation remise à une personne à la suite d'une demande de droits, figée au moment de sa délivrance.

Se suppriment, sans justification à donner :

• une ÉFVP de communication hors Québec : c'est votre propre analyse;
• un processus d'anonymisation et ses réévaluations;
• un brouillon de politique, tant qu'il n'est pas publié.

Pourquoi cette différence. Une attestation est une déclaration sur ce qui s'est passé; une ÉFVP est un document que vous avez rédigé. Si une attestation pouvait disparaître, celles qui disparaîtraient seraient précisément celles qui se sont révélées inexactes : le registre ne prouverait alors plus rien à personne. Ces attestations ne sont exigées par aucune disposition de la loi. Vous les faites parce qu'elles démontrent votre reddition de comptes, et c'est justement parce qu'on ne peut pas les retirer discrètement qu'elles valent quelque chose devant un auditeur ou devant la Commission.

Corriger sans effacer. Une attestation devenue inexacte ne se supprime pas : vous en consignez une nouvelle, et la précédente est marquée comme remplacée, à sa date. Le dossier montre alors la correction, ce qui vous sert mieux qu'un trou dans l'historique. C'est aussi pourquoi une politique publiée ne se modifie pas : on en publie une nouvelle version. Un brouillon, lui, reste un brouillon : il se jette.

#Le journal d'accès et le dossier de responsabilité

Deux surfaces transforment ce carrefour en preuve plutôt qu'en simple documentation :

• Le journal d'accès, le registre à chaîne de hachage dont les époques sont ancrées sur la chaîne, exportable et revérifiable hors ligne;
• le dossier de responsabilité, le fichier de preuve unique, ouvert sur un index de couverture article par article, qu'un auditeur peut emporter. Le propriétaire ou l'administrateur le télécharge depuis la page Responsable (« Télécharger le dossier de l'entreprise (ZIP) »), et un auditeur depuis son accès d'audit.

#Guide de conformité

Le guide de conformité est une carte statique, article par article, de la manière dont Agreely aide à répondre à chaque article pertinent de la Loi 25. Il porte le même avis que le reste du carrefour : c'est un guide, non un avis juridique. Le groupe Références l'accompagne de Recettes de conformité (des exemples concrets pour déclarer les cas d'usage courants, offerts à une entreprise privée), des Textes officiels de la loi qui régit votre organisation et d'un Glossaire.

#Ensuite

• Clients : le dossier d'un client et l'export de portabilité (P-39.1, art. 27 al. 3; A-2.1, art. 84 al. 3).
• Équipe et facturation : les rôles, les sièges et les clés d'API.